如何管理Spring Boot应用多环境配置：兼顾不可变构建与信息安全？

这个场景我帮好几个项目团队处理过，核心就是在不可变构建（同一个Jar跑所有环境）和敏感信息安全之间找平衡，不用配置服务器也完全能落地，给你几个实用的方案，按优先级推荐：

1. 环境变量注入敏感配置（最推荐，零额外依赖） #

Spring Boot原生支持通过环境变量覆盖配置，这也是实现不可变构建最简洁的方式。

具体操作： #

• 在你的通用配置文件（比如application.yml）里给敏感字段设置占位符+开发环境默认值，示例：

spring:
  datasource:
    url: ${SPRING_DATASOURCE_URL:jdbc:mysql://localhost:3306/dev_db}
    username: ${SPRING_DATASOURCE_USERNAME:dev_user}
    password: ${SPRING_DATASOURCE_PASSWORD:dev_pass}

• 开发/QA环境直接用默认值，不需要额外配置；生产环境部署时，通过部署平台的秘钥管理功能注入对应的环境变量（比如K8s Secret、云平台凭据存储、Jenkins凭据库），绝对不要把生产凭证明文写在部署脚本里。
• CI流程只需要构建一次Jar，CD阶段根据不同环境注入对应的变量即可，完全符合不可变构建要求。

优势： #

• 零额外依赖，利用Spring Boot原生能力
• 敏感信息完全不进入Jar包，从根源避免泄露
• 适配所有主流CI/CD平台

2. 外部挂载敏感配置文件（适合敏感配置较多的场景） #

如果生产环境的敏感配置项太多，全用环境变量太繁琐，可以把生产专属的敏感配置单独抽成一个文件，不打包进Jar，部署时再挂载到运行环境。

具体操作： #

• 把生产的敏感配置写在application-prod-secret.yml里（比如数据库密码、API密钥等），这个文件只交给运维团队管理，不提交到代码仓库，也不打包进Jar。
• 部署生产环境时，将这个文件挂载到Spring Boot默认扫描的外部配置目录（比如/config），或者启动Jar时指定额外配置路径：

java -jar your-app.jar --spring.config.additional-location=/path/to/application-prod-secret.yml

• Jar包中只保留通用配置和开发/QA的非敏感配置，同一个Jar可以部署到所有环境。

优势： #

• 敏感配置集中管理，不用分散成多个环境变量
• 依然保持Jar的不可变性，CI流程无需改动

3. 配置字段加密（适合必须把生产配置打包进Jar的场景） #

如果因为某些原因必须把生产配置文件打包进Jar，可以用Spring Boot的加密插件对敏感字段加密，避免明文泄露。

具体操作： #

• 引入jasypt-spring-boot-starter依赖，在配置文件中对敏感字段加密，示例：

spring:
  datasource:
    password: ENC(加密后的字符串)

• 加密过程可以用Jasypt的命令行工具生成加密字符串，密钥只由运维团队保管。
• 部署生产环境时，通过JVM参数传入解密密钥：

java -jar your-app.jar -Djasypt.encryptor.password=你的解密密钥

注意：密钥必须存在部署平台的秘钥管理中，绝对不能硬编码在代码或启动脚本里。

优势： #

• 可以保留完整的配置文件结构，无需拆分
• 敏感字段以加密形式存在Jar中，开发团队无法直接获取明文

总结 #

优先推荐环境变量注入，简单高效且安全；如果敏感配置多就用外部挂载文件；只有在必须打包生产配置的情况下才考虑字段加密。这三个方案都能实现不可变构建，同时隔离生产敏感信息，完美适配CI/CD流程。

内容的提问来源于stack exchange，提问作者user34567